 
DIVISION DE CAEN
Hérouville-Saint-Clair, le 5 avril 2016 N/Réf. : CODEP-CAE-2016-013375 Monsieur le Directeur du CNPE de Penly BP 854 76 370 NEUVILLE-LES-DIEPPE 
 
 
OBJET : Contrôle des installations nucléaires de base Inspection n° INSSN-CAE-2016-0286 du 18 mars 2016 Monsieur le Directeur, Dans le cadre des attributions de l'Autorité de sûreté nucléaire (ASN) concernant le contrôle des installations nucléaires de base prévu à l'article L. 592-21 du code de l'environnement, une inspection annoncée a eu lieu le 18 mars 2016 au CNPE de Penly, sur le thème de la conduite accidentelle. J'ai l'honneur de vous communiquer, ci-dessous, la synthèse de l'inspection ainsi que les principales demandes et observations qui en résultent. 

## Synthèse De L'Inspection

L'inspection du 18 mars 2016 a concerné l'organisation mise en place par le site de Penly pour répondre aux dispositions prévues par le chapitre VI des règles générales d'exploitation (RGE) d'EDF, qui définit notamment les règles de conduite à suivre en situation d'incident ou d'accident. Les inspecteurs ont examiné le processus d'élaboration des procédures de conduite incidentelle et accidentelle, la gestion des alarmes nécessitant l'application de telles procédures, ainsi que la gestion des matériels locaux de crise qui sont requis pour leur mise en œuvre. Les inspecteurs se sont ensuite rendus en salle de commande du réacteur n° 2 afin notamment d'examiner les consignes présentes. Enfin, ils ont procédé à un exercice de mise en situation accidentelle. Au vu de cet examen par sondage, l'organisation définie et mise en œuvre sur le site pour la conduite accidentelle apparaît globalement satisfaisante. Les inspecteurs ont noté le bon déroulement de la mise en situation réalisée de manière inopinée. Toutefois, les inspecteurs considèrent d'une part, que le processus de gestion des alarmes « DOS » en salle de commande doit être amélioré et d'autre part, que la rigueur de la gestion de la documentation relative à la conduite en situation d'incident ou d'accident sur le site de Penly doit être renforcée. 

## A Demandes D'Actions Correctives A.1 Mise À Jour Du Recueil De Mémorisation Et De Cochage

Les spécifications techniques référencées « D 5039 - SPE.102TR1 » du 15 janvier 2016 (indice 34) et 
« D 5039 - SPE.102TR2 » du 15 janvier 2016 (indice 36) définissent l'ensemble des procédures et documents opératoires concernant la conduite des réacteurs en situation d'incident ou d'accident. Les procédures incidentelles et accidentelles relatives à un réacteur donné, accompagnées le cas échéant des instructions temporaires de sûreté (ITS) applicables, doivent être disponibles et maintenues à jour conformément à l'état de l'installation, dans la salle de commande du réacteur considéré. 

Au regard des spécifications techniques, la consigne « recueil de mémorisation et de cochage » (RMC)
devant être appliquée est la consigne référencée « EMEFC080044 ». Le RMC de chaque jeu de consigne de tranche, permet en cas d'application d'une procédure accidentelle ou incidentelle, de déterminer la concentration en bore « CB » d'arrêt à froid requise lorsque la stratégie de conduite le nécessite, via un graphique figurant en page 7 du document. Ce graphique est extrait du dossier spécifique de fonctionnement - pilotage (DSFP) fourni au CNPE par vos services centraux (UNIPE) après chaque rechargement combustible. Par conséquent, la mise à jour du RMC doit être a minima de périodicité « cycle combustible » avec un temps « T0 » fixé à la réception du DSFP par le CNPE. Ainsi, après chaque rechargement et dès réception du DSFP par le CNPE, la mise à jour du graphique de détermination de la « CB » d'arrêt à froid doit être réalisée par l'ingénieur sureté. La note interne d'EDF, référencée D 5039 - GO/EQ.007, décrivant le processus de mise à jour des consignes incidentelles et accidentelles ne fait aucune référence, en son paragraphe 3.2.2 « Gestion des écarts dans les consignes de tranche », à la mise à jour du RMC. Par ailleurs, les inspecteurs ont constaté que les consignes RMC, référencées au niveau local « D 5039 APERMC1 ind. 2 » pour le réacteur n°1 en date du 04 mai 2015 et « D 5039 APERMC2 ind. 2 » pour le réacteur n°2 en date du 04 mai 2014 ne contenaient, en page 7, aucun graphique pour les 2 réacteurs. 

Vous avez indiqué que ce graphique n'avait jamais été intégré à la consigne. Je vous demande de mettre à disposition, en salle de commande des réacteurs n° 1 et n° 2, la dernière version de la consigne « RMC » avec le graphique permettant de déterminer la « CB » 
d'arrêt à froid requise. Vous me transmettrez les conclusions de l'analyse relative à la cause de l'écart observé. 

## A.2 Consigne Événementielle « I 14 »

La note interne d'EDF, référencée D 5039 - GO/EQ.007, décrivant le processus de mise à jour des consignes incidentelles et accidentelles précise, au paragraphe 3.2.2.3, le « cas particulier » de la consigne événementielle « I 14 ». Au regard de cette note, chaque nouveau cycle de fonctionnement nécessite la mise à jour des pages « Annexe bis » de la consigne événementielle « I 14 » pour prendre en compte les courbes « T0 » et « CB ». Cette mise à jour est effectuée localement et n'est pas demandée par la consigne de référence nationale. 

 
Les inspecteurs ont constaté, dans la salle de commande du réacteur n° 2, la présence d'une ancienne version de la consigne « I 14 coord », à l'indice local 04 du 06 juin 2014, avec des courbes « T0 » et 
«CB» datant du cycle 17-2014. Cette ancienne consigne n'était, par ailleurs, pas scellée. 

## Je Vous Demande De :

- mettre à disposition, en salle de commande du réacteur n° 2, la dernière version de la consigne événementielle « I 14 » ; 
- m'indiquer les dispositions prises pour vous assurer, à l'avenir, de la présence de la bonne version des consignes et que les documents présents soient scellées.

## A.3 Gestion Des Instructions Temporaires De Sûreté

Les instructions temporaires de sûreté (ITS) sont des modifications temporaires des procédures de conduite accidentelle ou incidentelle correspondant à des modifications matérielles ou de stratégie de conduite des installations ou à des spécificités locales ; les ITS viennent compléter, ou se substituer partiellement, aux consignes accidentelles ou incidentelles. Les inspecteurs ont consulté l'analyse de l'ITS locale intitulée « Ø LGJ FEU en SFS L 0680 (si Ø LGJ alimenté par la tranche 1) » permettant de justifier que ces modifications ne relèvent pas d'une déclaration au titre des critères définis dans la section 1 relative au palier 1300 MWe du chapitre VI des RGE. L'analyse ne fait pas mention des conséquences sur la sûreté de la perte des tableaux électriques 0 LGI/J. De même en cas d'incendie dans le local 2 SFS L 0680, une coupure électrique entraînerait la perte de l'alimentation attendue des tableaux 0 LGI/J. Les inspecteurs considèrent que ces différents points devraient faire l'objet d'une analyse et de mesures compensatoires éventuelles en cas d'impact sur la sûreté. Je vous demande de reconsidérer l'analyse de l'impact sur la sureté de l'ITS précitée et de renforcer la rigueur de votre processus d'analyse afin de justifier que les modifications temporaires des procédures de conduite accidentelle ou incidentelle ne relèvent pas d'une déclaration au titre des critères de la section 1 du chapitre VI des RGE. 

## A.4 Document D'Orientation Et De Stabilisation

Les alarmes repérées « DOS » (document d'orientation et de stabilisation) nécessitent, lors de leur apparition en salle de commande, l'application par les opérateurs, des consignes de conduite incidentelle ou accidentelle du chapitre VI des RGE. Les modalités de prise en compte des alarmes DOS sont précisées dans la note de doctrine d'exploitation des alarmes pour les réacteurs de 900 et 1300 MWe, référencée D4550 31 10 2591 à l'indice 1. Cette note, ainsi que la section 1 du chapitre VI, définissent les trois situations particulières suivantes, pour lesquelles l'entrée dans le DOS n'est pas obligatoire dans la mesure où les causes d'apparition des alarmes sont identifiées en amont et qu'elles n'ont pas de caractère incidentel ou accidentel : 
1) « manœuvre d'exploitation demandée par une consigne de conduite normale : le lien entre l'action effectuée par l'opérateur et l'apparition de l'alarme est direct ; 
2) manœuvre sur des cellules (embrochage/débrochage) de tableaux électriques, requise pour des besoins d'exploitation courante et réalisée par un chargé de consignation, générant une alarme DOS pendant un laps de temps réduit (en tout état de cause inférieur à 5 min) ; 
3) réalisation d'essai périodique, d'intervention de maintenance ou d'essai de qualification. » 
Les inspecteurs ont consulté les extractions du cahier de quart relatives aux actions engagées à la suite d'apparitions d'alarmes « DOS » en 2014 et 2015 notamment pour vérifier le respect des critères de « non application du DOS ». Plusieurs incohérences dans le suivi des entrées dans le « DOS » ont été notées dans le cahier de quart informatique : 
- le « DOS » a été appliqué alors que l'alarme repéré « DOS » était prévue (par exemple, les 19 et 23 février 2015 sur le réacteur n°1 et le 03 février 2014 sur le réacteur n°2) ; 
- le « DOS » n'a pas été appliqué par les équipes de conduite car la situation relevait du troisième cas d'exemption ci-dessus mais l'alarme repérée « DOS » était enregistré comme non identifié 
(par exemple le 14 avril 2014 sur le réacteur n°1 et le 13 janvier 2014 et 10 février 2014 sur le réacteur n°2) ; 
- pour deux alarmes apparues le 17 décembre 2014 sur le réacteur n°1 et le 16 février 2014 sur le réacteur n°2, le « DOS » n'a pas été appliqué par les équipes de conduite alors que ces situations ne rentraient pas dans les cas d'exemption. Aucune analyse des faits n'a été présentée aux inspecteurs, pour justifier de la non application du « DOS » ; 
- l'arrêt automatique réacteur (AAR), survenu le 14 août 2014 sur le réacteur n°2, entrainant une entrée dans le « DOS », n'est pas répertorié dans l'extraction du cahier de quart alors que les 2 autres AAR survenus la même année sont, eux, listés. 

Les inspecteurs considèrent que le renseignement du cahier de quart doit être rigoureux afin de tracer le respect des conditions définies dans la section 1 du chapitre VI lorsqu'une alarme, du fait de son caractère attendu, ne conduit pas à une entrée dans le DOS. Cette formalisation des informations permet a postériori, les vérifications nécessaires par les différents services et la prise en compte du retour d'expérience. 

## Je Vous Demande :

- de renseigner avec rigueur, le cahier de quart informatique pour faciliter l'exploitation des données enregistrées ; - d'analyser les écarts précités et de me faire part de vos conclusions sur les cas précités de non application du DOS et d'en tirer le retour d'expérience nécessaire. 

## A.5 Gestion Des Indisponibilités Des Matériels Locaux De Crise

En application de la prescription n° 2 de la DI n°115 (indice 2) relative à la gestion des matériels locaux de crise, lorsqu'un matériel mobile de crise dont les exigences de fonctionnalité ne sont pas prises en compte par les règles générales d'exploitation (RGE) est jugé indisponible, un événement intéressant la sûreté (EIS) doit être déclaré. Aucun EIS n'a été déclaré sur ce sujet en 2015 bien que la liste fourni par le service conduite mentionne, pour le réacteur n° 2, une indisponibilité des chaines « KRT U5 513/514 MA » le 23 mars 2015. Ces chaines « KRT U5 » sont repérés comme « matériels mobiles de sûreté non « MDC » (matériels du domaine complémentaire) appelés par les procédures du chapitre VI des RGE dans le tableau en annexe 3 de la DI précitée. L'indisponibilité de ces chaînes relève donc de la prescription n°2 relative à la déclaration d'un EIS au titre du critère 10 de la directive interne n° 100. Par ailleurs, la gestion des MLC est réalisée indépendamment par chaque service (maintenance, conduite et technique, prévention) via différents outils informatiques différents (cahier de quart, sygma, merlin,…), ce qui ne permet pas d'avoir un suivi rigoureux et global de leur disponibilité. Vous avez indiqué qu'une harmonisation était en cours et que l'ensemble des indisponibilités des matériels locaux de crise seront gérés, via l'application informatique « TERRAIN ». 

## Je Vous Demande :

- d'analyser l'écart concernant l'indisponibilité du matériel KRT U5 et de me transmettre l'analyse de l'écart observé et les mesures correctives éventuellement mises en place ; 
- de m'informer de la date effective de mise en place de l'outil de gestion des indisponibilités de tous les MLC. 

## B Compléments D'Information B.1 Mise À Jour De La Section 2 Du Chapitre Vi Des Rge

La section 2 du chapitre VI des RGE traite des adaptations locales des documents de conduite incidentelle et accidentelle par rapport aux documents nationaux. Lors du contrôle de cette section, les inspecteurs ont formulé les remarques suivantes : 
- les documents associés qui ont servi à sa rédaction ne sont pas précisés ; - l'état documentaire n'est pas mentionné et notamment la démarche de rédaction des consignes sous environnement « PC » ; 
- les deux ITS locales, présentées en annexe 2, ne permettent pas de savoir si les ITS sont applicables. 

Je vous demande de mettre à jour la section 2 du chapitre VI des RGE de vos deux réacteurs en prenant en compte les remarques formulées ci-dessus 

## B.2 Gestion Documentaire Du Chapitre Vi Des Rge

L'organisation retenue par le CNPE pour mettre à jour les consignes du chapitre VI des RGE est décrite dans note interne d'EDF, référencée D 5039 - GO/EQ.007 à l'indice 8. Le mode opératoire demande à être complété sur les points suivants : 
- le rôle et les missions de chacun sont à préciser. Les inspecteurs ont constaté que les consignes événementielle « I 14 coord » sur les réacteurs n° 1 et n° 2 n'étaient pas rédigées et contrôlées par l'ingénieur sûreté, pilote du chapitre VI, ou par son suppléant ; 
- le processus relatif à la reproduction des consignes du chapitre VI, garantissant la remise à disposition des consignes de façon rapide et exhaustive, est à décrire en précisant la référence à l'annexe 11 du guide technique du service logistique de site intitulé « chaine documentaire texte », 
référencée « D5039-GT/LS.004 ind. 8 » ; 
- la nécessité, ou non, de faire une validation à blanc doit être clarifiée. Lors de l'inspection, vous avez indiqué que les ITS nationales n'étaient pas systématiquement validées à blanc. Il est nécessaire de préciser, dans le cas de l'évolution des consignes APE du fait de l'intégration d'une ITS nationale, d'un dossier d'amendement (DA-PTD), ou de la mise en place d'une ITS locale si celles-ci doivent faire l'objet d'une validation à blanc formalisée. 

Je vous demande de ré-indicer le mode opératoire, référencé D 5039 - GO/EQ.007 à l'indice 8, afin de préciser l'organisation du site sur les points précités.

## B.3 Note De Gestion Des Matériels Mobiles De Crise

Les inspecteurs ont examiné la note référencée D5339-ODC/MLC indice 2 du 30 octobre 2015 qui décline les exigences de la DI n°115. La note présente les fiches caractéristiques de chaque matériel local de crise (MLC) utilisé en conduite incidentelle ou accidentelle. Ces fiches présentent les équipements, leurs lieux de stockage, les essais périodiques à réaliser sur ces matériels, ainsi que leurs gammes de maintenance, de montage et de mise en œuvre. Elles spécifient également les moyens particuliers nécessaires à la mise en service du MLC. Les inspecteurs ont noté que : 
- la rubrique « modalités d'appel » pour chaque fiche se limite à indiquer « Procédure APE » sans autre indication. La prescription 4.3 de la DI 115 à l'indice 2 demande de répertorier explicitement les « procédures, consignes, ou décisions PCD » requises lors de la mise en place du MLC ; 
- le délai de mise en œuvre et de montage sont identiques pour la fiche n° 4. Il semble que le temps de montage soit indicatif alors qu'une mise en situation a déjà eu lieu sur le site. Il parait souhaitable d'indiquer un temps de montage résultant d'exercices réalisés ; 
- la sonde « génitron » est classé matériel « PUI mobile » (MPUI) alors qu'elle est classé matériel mobile de sureté « non MDC » (MRGE6), à la suite du passage à l'indice 2 de la DI115 (fiche n°22) ;
- la fiche n° 9 et la fiche n° 11 font mention d'une « gamme à créer » et d'un « OIS à créer» pour contrôler l'état du matériel ; 
- la fiche n° 6 fait mention d'un numéro d'armoire PUI contenant le matériel portatif de secours qui ne correspond pas à celui noté par les inspecteurs lors de la visite ; 
- la fiche n°14 ne fait référence à aucune « modalités d'appel » et n'est à priori plus utilisée sur le site de Penly. 

Je vous demande de mettre à jour votre note de gestion des matériels mobiles de crise pour prendre en compte les remarques formulées ci-dessus. 

## B.4 Contrôle De L'Armoire De Stockage Des Protections Individuelles Du Service Conduite (Plan D'Actions Post-Fukushima)

Les deux armoires de stockage des protections individuelles du service conduite ont été inspectées, par sondage. Elles sont localisées dans le local LD 902 et sont gérées par le service prévention logistique « SPL » qui effectue des contrôles semestriels et par le service prévention des risques « SPR » pour s'assurer de la conformité du matériel de radioprotection notamment. L'inventaire des matériels était bien listé à l'intérieur de chaque armoire de stockage mais la date de validité de plusieurs matériels était échue. Les inspecteurs ont par exemple relevé que la date d'échéance pour 4 dosimètres était fixée à novembre 2015 alors que l'inventaire avait été réalisé le 02 décembre 2015. Les inspecteurs ont vérifié que les dosimètres concernés avaient été remplacés et que la date de validité sur l'inventaire était bien erronée. 

Je vous demande de tenir à jour l'inventaire des armoires de stockage des protections individuelles du service conduite. 

## C Observations Sans Objet �

Vous voudrez bien me faire part de vos observations et réponses concernant ces points dans un délai qui n'excèdera pas deux mois. Pour les engagements que vous seriez amené à prendre, je vous demande de bien vouloir les identifier clairement et d'en préciser, pour chacun, l'échéance de réalisation. Je vous prie d'agréer, Monsieur le Directeur, l'assurance de ma considération distinguée. 

## L'Adjoint Au Chef De Division, Signée Par Serge Descorne
